情報セキュリティの体系化

偉い人からのデッカイボールに対応するためのメモメモ。。

情報セキュリティの目的

機密性（Confidentiality）
- アクセス権を持つ者だけが、情報にアクセスできることを確実にすること
  - アクセス制御、パスワード認証、暗号化、入退室管理
完全性（Integrity）
- 情報及び処理方法が正確であることおよび完全であることを保護すること
  - デジタル署名、メッセージダイジェストによる改竄防止
可用性（Availability）
- 認可された利用者が、必要なときに、情報および関連する資産にアクセスできることを確実にすること
  - ネットワークシステムの2重化、ホットスタンバイ、UPS、RAID、負荷分散装置、クラスタリング構成
責任追跡生 / 説明可能性（Accountability）
- システムが、いつ、誰に利用されたかを追跡できること
  - アクセスログの記録、デジタル署名による否認防止
真正性 / 認証性（Authenticity）
- 情報の作成者や送信者が（なりすまし/偽物ではなく）本物であることを保証すること
  - デジタル署名、パスワード認証
信頼性（Reliability）
- システムやプロセスが矛盾なく動作すること、一貫して動作すること
  - ネットワークやシステムの2重化による呼称対策、サーバ室での温度管理、負荷監視

前半の3つを「セキュリティのCIA」と呼ぶ。最近は、後半の3つを追加して6大要素とすることもある。

抑制
- セキュリティの存在が、犯罪・事故などを牽制・抑止する
  - ホスティング、外部委託、不要なサービスの停止、監視カメラ、規則・契約書への明記
予防
- 脅威の顕在化、拡大を防止する
  - ファイアウォールやDMZによる公開セグメントの社内LANからの分離、ウィルス対策ソフト、部門単位でのアクセス権限設定
検知
- 事故・障害・不正などを速やかに発見・通知する
  - ログの監視、侵入検知システム、SNMPによるネットワーク管理
回復
- 事故・障害から正常な状態に回復する
  - バックアップ、代替機の確保、復旧対応マニュアルの作成

監査（Audit）
- 他の5階層全体を指し、導入した製品自身に設定ミスがないか、利用者がルールどおりに使用しているかなどを監視し、監査証跡を記録する製品およびサービス
暗号化（Encryption）
- IPsec技術を使ったVPN、ファイル暗号化など、機密漏洩対策としての製品およびサービス
特権定義（Priviledge Definition / Single Sign On）
- 個人の属性に対して定義されたシステムへのアクセス権限を管理運営する認可の製品およびサービス
認証（Authentication）
- ネットワークやサーバにアクセスする際の、本人性を確認する製品およびサービス
通信規制（Access Control）
- インターネットに接続するする際に必要なファイアウォール製品およびサービス
データ保護（Data Protection / Data Integrity）
- アンチウィルスに関する製品およびサービス